1. 程式人生 > >oracle中mybaties關於排序傳參order by 的問題

oracle中mybaties關於排序傳參order by 的問題

java中:String order="  person_name  desc"

 

在mapper中:

<if test="order ! =null">

order by  #{order}

</if>

讀取有問題,排序無效,這樣的寫法是有問題的。

使用#{}格式的語法會導致MyBatis建立預處理語句屬性並以它為背景設定安全的值(比如?)。

這樣做很安全,很迅速也是首選做法,但是有時你只是想直接在SQL語句中插入一個不改變的字串。

例如,當需要傳入排序引數時:
ORDER BY ${columnName}
這裡MyBatis不會修改或轉義字串。

 

正確寫法應是:

<if test="order ! =null">

order by  ${order}

</if>

重要:接受從使用者輸出的內容並提供給語句中不變的字串,這樣做是不安全的。這會導致潛在的SQL注入攻擊,因此你不應該允許使用者輸入這些欄位,或者通常自行轉義並檢查。

總的來說,當order by 傳參的時候要用$符號,用#不生效(儘管你在控制檯看到的生成語句是正確的,但是結果就是不對的)